Easy Form Builder <= 3.9.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Form Response Data Exposure

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo divulgación en el plugin Easy Form Builder, que afecta a las versiones hasta la 3.9.3. Esta vulnerabilidad permite la exposición de datos sensibles de respuestas de formularios para usuarios autenticados con rol de suscriptor o superior.

Contexto técnico

La vulnerabilidad radica en la falta de autorización adecuada para acceder a los datos sensibles de las respuestas de formularios. Esto permite que usuarios no autorizados, con privilegios de suscriptor o superiores, puedan acceder a información que debería estar restringida.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que la exposición de datos sensibles puede comprometer la privacidad de los usuarios y la integridad de la información gestionada por el sitio. Además, puede afectar la confianza del cliente y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad puede llevarse a cabo mediante el acceso a las respuestas de formularios a través de solicitudes maliciosas, aprovechando la falta de controles de acceso adecuados en el plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Easy Form Builder a la versión 3.9.4 o superior. Además, se sugiere revisar las configuraciones de permisos de los formularios y aplicar medidas de seguridad adicionales para proteger los datos sensibles.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de accesos no autorizados a datos de formularios o mediante la monitorización de cambios inusuales en la base de datos relacionados con respuestas de formularios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.9.4 del plugin Easy Form Builder. Se recomienda a los administradores de sitios que utilicen este plugin verificar la versión instalada.